Hardening de Enlaces Troncales (Trunks) y Mitigación de VLAN Hopping en Cisco IOS

El salto de VLAN (VLAN Hopping) es uno de los vectores clásicos de ataque a nivel de capa 2 (Data Link). Permite que tráfico originado en una VLAN aislada (ej. VLAN de invitados o DMZ) alcance de forma ilegítima redes internas sin pasar por un router o firewall perimetral.

1. Mitigación contra Switch Spoofing (DTP)

Por defecto en muchos switches Cisco Catalyst, los puertos tienen activo el protocolo dinámico de enlace troncal (Dynamic Trunking Protocol - DTP). Si un atacante conecta una tarjeta de red y envía tramas DTP simulando ser un switch, el puerto negociará un trunk y expondrá todas las VLANs.

Comando de protección: Desactivar explícitamente DTP en todos los puertos de acceso y trunks:

interface GigabitEthernet0/1
 description UPLINK-TRUNK-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,99
 switchport nonegotiate
 no shutdown

El parámetro switchport nonegotiate detiene el envío de paquetes DTP por completo.

2. Mitigación contra Double Tagging (Etiquetado Doble 802.1Q)

En un ataque de Double Tagging, el paquete lleva dos etiquetas VLAN 802.1Q. El primer switch elimina la etiqueta exterior que coincide con la Native VLAN del trunk y reenvía el paquete con la etiqueta interior a la VLAN víctima.

Regla de hardening obligatoria:

1. Nunca usar la VLAN 1 como Native VLAN. Asignar una VLAN muerta / no enrutada (ej. VLAN 999).
2. Forzar el etiquetado de la Native VLAN globalmente:

vlan 999
 name NATIVE_UNUSED_ISOLATED
 exit

interface range GigabitEthernet0/1 - 2
 switchport trunk native vlan 999

! Forzar etiquetado global de tramas nativas
vlan dot1q tag native

Verificación del estado de seguridad del puerto:

show interface GigabitEthernet0/1 switchport